选择前面创建的筛选器列表。在此示例中，该筛选器列表为"Abczz to Bob's PC"。然后，选择前面创建的筛选器操作。在此示例中，该筛选器操作为"Encrypt Abczz"。
完成该向导，然后单击关闭。
配置其他终结点
在 Bob 的计算机上重复上述应用于 Alice 的计算机的所有步骤。显然要进行一些必要的更改，例如，"Abczz to Bob's PC"必须更改为"Abczz to Alice's PC"。
指派策略
您已经在两个端点上定义了策略。现在，必须指派它们：
在本地安全设置 MMC 中，右键单击策略（在此示例中为 Abczz ）。
单击指派。
一次只能指派一个 IPSec 策略，但是一个策略可根据需要拥有多个规则。例如，如果 Alice 还需要通过使用不同的协议保护与 Eve 的通讯，则您必须创建相应的筛选器列表和操作，并向 IPSec （属于 Alice）添加一个规则，以便将特定的筛选器列表和筛选器操作链接起来。单击为此规则使用不同的共享密钥。Alice 的策略现在有两个规则：一个用于与 Bob 进行 Abczz 通讯，另一个用于与 Eve 进行通讯。因为 Bob 和 Eve 无需安全地互相通讯，所以 Bob 的策略中未添加任何规则，Eve 的策略中包含一个用于与 Alice 进行通讯的规则。
疑难解答
使用 IPSecMon 测试策略
Windows 2000 包括一个实用程序 (IPSecMon.exe)，它可用于测试 IPSec 安全关联是否已成功建立。若要启动 IPSecMon，请：
单击开始，然后单击运行。
键入：ipsecmon，然后按 ENTER 键。
单击选项。
将刷新间隔更改为1。
必须在不同终结点之间建立通讯。可能会有一个延迟，这是由于终结点需要几秒钟时间来交换加密信息并完成安全关联。可在 IPSecMon 中观察此行为。当这两个终结点都建立了它们的安全关联，可在 IPSecMon 中观察到显示此行为的条目。
如果期望的安全协商没有建立，则返回并检查每个终结点上的筛选器列表。在您方便地将源地址和目标地址或端口反向时，确保已经收到所使用协议的正确定义。您可能要考虑创建一个指定所有通信的新筛选器列表。同样，可向使用此筛选器列表的策略添加一个新规则，然后禁用现有的规则。在两个终结点上执行这些步骤。然后，可使用 ping 命令测试连接性。ping 命令在安全关联阶段可显示"Negotiating IP security"（正在协商 IP 安全），然后显示建立安全关联之后的正常结果。
NAT 与 IPSec 不兼容
如果在两个终结点之间有任何网络地址转换 (NAT)，则 IPSec 不起作用。IPSec 将终结点地址作为有效负载的一部分嵌入。在将数据包发送到电缆上之前进行数据包校验和计算时，IPSec 也使用源地址。NAT 可更改出站数据包的源地址，目标在计算自己的校验和时使用头中的地址。如果数据包中携带的用初始来源计算的校验和与用目标计算的校验和不符，则目标可丢弃这些数据包。不能将 IPSec 用于任何类型的 NAT 设备。
